Software-Defined Perimeter
Was ist ein Software-Defined Perimeter (SDP)?
Ein Software-Defined Perimeter (SDP) ist ein Netzwerkzugriffsmodell, das auf dem Zero-Trust-Prinzip basiert. Dabei werden Netzwerkressourcen nur sichtbar und zugänglich, wenn Benutzer, Geräte oder Anwendungen authentifiziert und autorisiert sind – unabhängig vom Standort oder Netzwerksegment.
SDP verwendet Komponenten wie Controller, Gateway und Client, um über verschlüsselte Tunnel granulare Zugriffskontrollen durchzusetzen. Dienste erscheinen für Unbefugte vollständig unsichtbar („Black Cloud“), wodurch potenzielle Angriffsflächen drastisch reduziert werden.
Wichtige SDP-Ressourcen
-
Zero-Trust-Architektur
→ Grundprinzip: „Never trust, always verify“ – keine impliziten Vertrauenszonen. -
SDP-Controller
→ Prüft Identität und Policies, bevor Verbindungen zu Ressourcen freigegeben werden. -
Gateway-Komponente
→ Stellt Zugriff auf freigegebene Dienste bereit – vergleichbar mit einem Mikrosegmentierungspunkt. -
Verschlüsselte Tunnel (z. B. mTLS, DTLS)
→ Schutz aller Verbindungen vor Abhören und MITM-Angriffen. -
Policy-basierter Zugriff
→ Dynamische Steuerung nach Benutzerrolle, Gerätezustand, Geolokation oder Uhrzeit.
Anwendung in der Praxis
-
Remote Access: Mitarbeiter erhalten nur auf autorisierte Systeme Zugriff – ohne VPN.
-
Mikrosegmentierung: Ressourcen werden einzeln und dynamisch exponiert – keine Flat Networks.
-
Angriffsflächenreduktion: Dienste sind aus Sicht unautorisierter Nutzer nicht existent.
-
BYOD-Strategien: Geräte werden vor Freischaltung über Sicherheitsrichtlinien geprüft.
-
Cloud-Sicherheit: Zugriff auf Cloud-native Anwendungen über kontrollierte SDPs statt klassischen Firewalls.
Verwandte Begriffe
Beispiel aus der Praxis
Ein globales Unternehmen ersetzt klassische VPN-Zugänge durch ein Software-Defined Perimeter. Vor dem Zugriff auf interne Finanzsysteme müssen sich Benutzer über ein Device-Check-Modul und Multi-Faktor-Authentifizierung legitimieren. Der SDP-Controller überprüft die Sicherheitsrichtlinien und gibt dem Client nur Zugriff auf definierte Ressourcen über verschlüsselte Tunnel. Nicht autorisierte Dienste bleiben vollständig verborgen. Die Angriffsfläche sinkt erheblich, und das Security-Team erhält eine vollständige Session- und Zugriffshistorie zur Analyse.